Sicherheit beim Upload

[Sven Rautenberg]

Moin!

Das ist eine nicht durchdachte Forderung. Jeder denkt anders und nicht immer in die beabsichtigte Richtung. Ich dachte, wir bewegen uns gerade nur noch auf der sachlichen Ebene, also lass bitte diese Provokationen.

Tut mir leid, wenn das so ankommt.

Ich empfinde es als Provokation, wenn Sven dreimal wie ein kleines Kind "warum, warum, warum" fragt. Ich habe erläutert, worum es geht. Das habe ich sogar schon in
http://forum.de.selfhtml.org/archiv/2011/4/t204544/#m1385518
getan.

Dir sollte mittlerweile klar geworden sein, dass deine Kontrahenten in der Diskussion deine Schlussfolgerungen hinterfragen. Mindestens deswegen, aber eigentlich grundsätzlich, gehört es sich, dass man in einer fachlichen Argumentation seine Gedankengänge vollständig darlegt und nicht darauf hofft, dass durch kurze Benennung des Ausgangspunktes und des selbst gefundenen Ziels der Weg dorthin allen von alleine klar wird.

Das hat nichts mit _dem_ "Safe-Mode" zu tun, aber wenn Du es so nennen willst, nenne es ruchi "safe_move_uploaded_file()". Das wäre (mMn) die einzige Maßnahme, die eine Manipulation der hochgeladenen Dateien des Users A.a durch den User B.x verhindern kann, wenn ein gemeinsames Upload-Verzeichnis genutzt wird.

A.a sei ein User a unter Account (Domain) A
B.x sei ein User x unter Account (Domain) B, z.B. mit erheblicher krimineller Energie

Solange das File im Temporärverzeichnis (sogar mit t-Flag angelegt) schlummert, kann es von anderen Usern ggf. manipuliert werden. Da nützt es also nichts, wenn nur "uploaded Files" verschoben werden können, wenn die aber nicht sicher gelagert werden können bis zur Verschiebung.

Der Sinn der Funktion sollte mMn nicht der sein, den User (Programmierer) vor sich selber zu schützen (das leistet sie ja auch nicht, da er beliebige andere Möglichkeiten habt, die Dateien zu verschieben), sondern vor den Angriffen Dritter.

Und solange sie das nicht tut, bleibt sie mMn obsolet, seitdem es $_FILES als "sicheres Array" gibt.

Das Szenario, dass ein böser Angreifer die hochgeladene Datei noch vor ihrer Verschiebung verändert, wird durch die Nutzung von $_FILES nicht ausgeschlossen.

Insofern hat dieses Szenario keinerlei Einfluss auf die Entscheidung, ob move_uploaded_file() obsolet ist, oder nicht, weil die von dir vorgeschlagene Alternative dasselbe Problem hat.

- Sven Rautenberg